Cos'è il vibe coding e perché ti fa sentire un supereroe?
Il termine l'ha inventato Andrej Karpathy, tra i fondatori di OpenAI, in un post su X del febbraio 2025. Descriveva un modo nuovo di programmare. Chiedi all'AI quello che vuoi, accetti ogni modifica senza leggerla e incolli gli errori finché spariscono. Lui stesso scriveva che va bene per progetti usa e getta del fine settimana. Il dizionario Collins l'ha poi scelto come parola dell'anno.
La sensazione da supereroe è reale. Pieter Levels, imprenditore che costruisce le sue app da solo, ha raccontato su X di aver creato un simulatore di volo con Cursor, un editor con AI, in circa tre ore. Poco più di quindici giorni dopo, scriveva, decine di migliaia di persone ci giocavano in un giorno.
Nel frattempo erano arrivati hacker e bot, e lui aggiungeva una pezza dopo l'altra. Ne ha tratto una conclusione onesta. Il vibe coding al 100% è molto divertente, ma diventa disordinato in fretta, e va benissimo per i prototipi.
Quando il vibe coding ti fa risparmiare?
Ha valore quando un errore costa poco. Pensa al modulo per le richieste di preventivo da mostrare al tuo socio. O alla bozza di un portale per i turni da far provare a tre colleghi. Al posto di settimane di riunioni, metti sul tavolo una cosa che funziona.
Simon Willison, co-creatore di Django, uno strumento molto usato per costruire siti, incoraggia chiunque a provarlo. Sul suo blog chiede solo progetti con poco in gioco, attenzione a chiavi e dati privati, e un parere esperto se l'app la useranno altri.
Dove si rompe un'app costruita da soli?
Chiavi e dati esposti
Moltbook, un social network per agenti AI diventato virale all'inizio di quest'anno, è il caso più citato. Secondo Wiz, un'azienda di sicurezza, il fondatore aveva detto su X di non aver scritto una riga di codice. Wiz ha trovato nella pagina una chiave che apriva tutto il database, con 1,5 milioni di chiavi di accesso degli agenti, 35.000 email e messaggi privati. Mancava una sola impostazione di protezione, corretta in poche ore.
Non è un caso isolato. Matt Palmer, che lavora a Replit, concorrente di Lovable, ha analizzato 1.645 app fatte con Lovable. In 170 si leggevano senza permesso dati come nomi, telefoni, pagamenti e chiavi di altri servizi.
Un agente che cancella il database
A luglio 2025 Jason Lemkin, di SaaStr, raccontava su X il suo nono giorno di vibe coding con Replit. L'agente AI ha cancellato il database di produzione, nonostante l'ordine di non toccare nulla. Amjad Masad, amministratore delegato di Replit, ha risposto che non sarebbe mai dovuto succedere. In seguito ha avviato la separazione tra dati di prova e dati veri. Lemkin ha poi chiarito che l'app era ancora dimostrativa, e i dati sono stati recuperati.
Codice che nessuno capisce
Già Karpathy ammetteva che il codice cresce oltre la sua comprensione. Per un gioco va bene, per il gestionale degli ordini no, perché ogni modifica diventa una scommessa. È il debito tecnico, cioè le scorciatoie di oggi che ripaghi con gli interessi.
Il rischio si misura. Veracode, che mette regolarmente alla prova il codice scritto dai modelli AI, trova una vulnerabilità nota in circa 4 compiti su 10. E gli sviluppatori lo sanno. Nel sondaggio annuale di Stack Overflow, il 48% si fida dell'AI solo quando può verificare il risultato. Chi fa da solo, di solito, non può.
Quando gli utenti diventano tanti
Un prototipo regge dieci colleghi. Con migliaia di utenti arrivano bot e abusi, come ha visto Levels, e i servizi a consumo costano di più a ogni accesso. Greg Isenberg, imprenditore e conduttore di un podcast sulle startup, parla di pane tolto dal forno troppo presto, bello fuori e crudo dentro. Per lui la vera cottura è l'ultimo 20%, fatto di sicurezza, dati e fiducia.
Regole per aziende ed enti
Se l'app raccoglie dati personali, l'articolo 32 del GDPR chiede misure di sicurezza adeguate al rischio e test regolari. Se i dati escono, l'articolo 33 ti chiede di avvisare il Garante, di norma entro 72 ore. Il titolare sei tu, chiunque abbia scritto il codice.
L'AI Act guarda invece a cosa fa l'app. Se filtra curriculum o valuta candidati con l'AI, è un sistema ad alto rischio, con obblighi propri. Per la PA c'è un passaggio in più. I servizi cloud di un ente devono essere qualificati dall'Agenzia per la Cybersicurezza Nazionale, e la piattaforma comoda per il prototipo può non esserlo.
Quanto costa rifare tutto?
La nostra lettura: il costo del vibe coding arriva dopo il lancio. Con i clienti dentro, spesso conviene rifare la parte che tocca dati e permessi invece di rattoppare, e la rifai mentre l'app è in uso. Il prototipo resta utile, perché mostra cosa vuoi meglio di qualsiasi capitolato.
C'è anche chi la vede diversamente. Isenberg scrive che molti costruiscono con l'AI prodotti veri, che possono crescere. Simon Høiberg, che vende prodotti software, sostiene che ormai è normale ingegneria del software. E Veracode registra il primo miglioramento della sua serie. Gli strumenti migliorano, ma di cosa va online risponde chi lo pubblica.
E noi?
Come lo faremmo: partiamo dal tuo prototipo, non da zero. Leggiamo il codice e cerchiamo chiavi in chiaro e tabelle aperte. Separiamo i dati di prova da quelli veri, mettiamo backup ripristinabili e scriviamo test sulle parti che toccano soldi e dati personali. Poi decidiamo con te cosa tenere e cosa rifare. È il lavoro del nostro servizio Custom Software Delivery, in cui la logica e i dati restano tuoi.
Anche noi usiamo strumenti rapidi, e quella piattaforma è nata su FlutterFlow e Firebase. La velocità va bene. Il rischio comincia quando, dopo il lancio, nessuno risponde dell'app.
Quindi, cosa fai con il tuo prototipo?
- Se è una prova per te o per pochi colleghi, senza dati personali né pagamenti, continua con il vibe coding.
- Se l'app raccoglierà dati di clienti o cittadini, prima di aprirla fai controllare chiavi, permessi del database e backup.
- Se un agente AI può modificare codice o dati, tieni separate prova e produzione.
- Se l'app deve reggere molti utenti, incassi o una gara pubblica, trattala come un progetto software, con un team che ne risponde.
“Il vibe coding ti porta al prototipo in un fine settimana. Per arrivare ai clienti serve qualcuno che legga il codice e ne risponda.”
DBrothers — come portiamo un prototipo in produzione
Se hai un prototipo fatto con il vibe coding e vuoi metterlo davanti ai clienti, portacelo così com'è. Lo leggiamo insieme e ti diciamo cosa tenere, cosa sistemare e cosa rifare prima del lancio.
